⚠ 本文仅为信息教育用途,不构成投资 / 法律 / 税务建议。链上操作不可逆,永续杠杆可能损失全部本金。完整披露见 免责声明。

什么时候你最容易被钓

编辑组复盘过往 200+ 起公开钓鱼案例后,被钓时刻的共同特征:

• 深夜 / 凌晨(00:00–04:00 钓鱼成功率比白天高 2-3 倍——疲劳让你放松判断)
• 「错过焦虑」时刻:听说某空投快截止、某代币 TGE 倒计时、某 dApp 限时
• 多窗口 + 多任务:你同时开了交易所、钱包、Discord、推特、Telegram,弹窗一个接一个
• 有「确认免费 / 不花 Gas」错觉:链下签名不烧 Gas,所以心理负担低,反而更敢签
• 「我的朋友推荐」:Discord / 群里看到「我也用过这个,没事」的语境

实用结论:如果你正处于上面任一情况,把所有钱包操作推到明天再做。链上没有「现在不签错过」的真实机会,所有制造紧迫感的页面 100% 是钓鱼。

1 · SetApprovalForAll 与 Unlimited approve

损失体量:2024 全年此类钓鱼链上损失 ~$5-7 亿美元,远超其他类型。

机制

ERC-20 代币的 approve(spender, amount) 函数允许你授权某地址在未来动你的钱,amount 默认值常常被钱包 UI 设成 2^256-1(无限大)。ERC-721 / ERC-1155 NFT 的对应函数是 setApprovalForAll(operator, true)——一签授权 operator 管理你整个 NFT 系列所有 token。

攻击者诱导你 approve 一个看起来合法但实际由攻击者控制的合约。你签完之后什么也没发生(没有立即弹「转走」),但攻击者已经拿到「凭票动你的钱」权限,在某个你看不到的时间清空。

真实场景

「领取空投需要先 connect 钱包并 approve 验证」——99% 是钓鱼。任何空投都不应该需要你 approve 任何代币给项目方合约(claim 空投是合约把币给你,不需要你授权它从你这里拿)。

防御

• 看到 approve 弹窗,先看「Spender」地址——这是被授权方。不是 Uniswap、SushiSwap、1inch 这种你能记住名字的合约,一律拒绝。
• 额度永远改成「精确数值」,不点 Unlimited。
• 看到 setApprovalForAll 字样的签名,99% 是 NFT 钓鱼——除非你确定在用 OpenSea / Blur 这类合规市场首次挂单。
• 月度用 revoke.cash 扫描历史授权,撤销过期的。

2 · Permit 离线签名钓鱼

损失体量:2025 全年此类增长最快,Q4 单季度损失约 $1.2 亿。

机制

EIP-2612 引入了 permit 函数,允许通过「链下签名」授权代币,免去先 approve 再 swap 的两笔 Gas。机制是:你签一段结构化数据(EIP-712 类型签名),包含 spender、value、deadline 等字段。这段签名不立即上链,而是交给对方,对方可以在 deadline 之前任意时候提交。

这个机制本意是提升 UX,但对钓鱼极有利:① 链下签名没有 Gas,心理负担低;② 钱包对 EIP-712 数据的可读性长期不佳,签名内容像天书;③ 一旦你签了,撤销时间窗很短——攻击者拿到签名后立即上链。

真实场景

「连接钱包 → 签个名验证身份」——其中混入 Permit 签名。或「请签名免费 mint」实际上签的是把你所有 USDC 授权给攻击者。

防御

• 任何 「签名」(不烧 Gas) 比 「确认」(烧 Gas) 更需要警惕——后者你看到 Gas 估算会本能再检查一遍。
• 看到签名内容里有 Permit、permit2、spender、value 字段,确认你正在使用的 dApp 真的需要这一步。Uniswap 内置 Permit2 是合法的;不知名网站让你签 Permit,99% 是钓鱼。
• 装 Blockaid(MetaMask 默认开启)/ Pocket Universe / Wallet Guard 之一——它们能识别恶意 EIP-712 结构。

3 · Address Poisoning · 地址投毒

损失体量:2024 年单笔最大记录 $6800 万(2024-05,北美某 OTC 客户)。

机制

攻击者用「虚荣地址生成器」造一个和你常用收款地址前 4 位 + 后 4 位完全相同的假地址(中间 32 位不同——以太坊地址有 40 个十六进制字符)。用这个假地址给你转 0.001 USDC(只为出现在你交易历史里)。

下次你要转钱时,如果习惯「从交易历史复制收款地址」+ 「只看前后几位」核对——你会粘到假地址,钱直接转给攻击者。

防御

• 永远完整核对全 40 位地址,或用 ENS(vitalik.eth)/ Lens / SNS 这类人类可读域名替代。
• 钱包内置「地址簿 / 白名单」,常用地址手动加,转账时从白名单选。
• 提币地址不从交易历史复制,从交易所「地址管理」里选已验证过的白名单地址。
• 大额转账先发 0.01 测试,确认到账后再转主笔。

4 · 剪贴板劫持

损失体量:2024-2025 累计 ~$8000 万,主要影响 Windows 用户。

机制

恶意软件在系统层监视剪贴板,检测到「以 0x 开头 + 40 字符」的字符串(以太坊地址)时,自动替换为攻击者的地址。你 Ctrl+C 复制 A,Ctrl+V 粘出来是 B。

2025 年的演变版本:不只换地址,还换tx hash 查询页 URL——你以为查的是自己交易,实际看到的是攻击者构造的假页面。

防御

• 定期全盘查毒(Malwarebytes / Windows Defender)。
• 大额转账前,粘贴地址到一个文本编辑器再粘到钱包,人眼对比完整 40 位。
• Mac 用户相对安全(系统沙盒严格),但仍建议人眼对比。

5 · Discord / Telegram 假链接钓鱼

损失体量:发生频次最高,单笔多在 $500-$5000 区间。

机制

Discord 服务器被攻破,管理员账号被盗,发布「官方通告:领取空投点这里」——链接打开是钓鱼网站。Telegram 群里更直接,机器人撒「项目方福利」消息。

防御

• 主流 DEX / 项目方网址手动书签,永远从书签进入,不点社群链接。
• 「领取空投」「Mint」「Claim」链接一律不点。如果真有空投,你能在官方网站、官方推特的原始推文(不是引用、不是回复)里找到。
• 项目方任何「客服 DM」一律视为钓鱼。

6 · 浏览器扩展恶意更新

损失体量:2025 年 Q2 一起钱包扩展更新事件单次损失 ~$2200 万。

机制

合规浏览器扩展(钱包扩展、广告拦截、tab 管理)发布者账号被钓 / 被收购 / 被注入。攻击者推送一次「正常更新」,Chrome / Edge 自动安装。新版本里加入了「读取你输入的助记词 / 私钥」「拦截你的 swap 改路由」逻辑。

防御

• 钱包浏览器扩展只装官方 + 已验证的版本——Chrome Web Store 里看下载量、看 publisher。
• 不要装超过你实际需要的扩展。每多一个扩展就多一个攻击面。
• 大额操作用独立浏览器配置(profile),只装钱包扩展、不装其他。
• 硬件钱包是最后一道防线——扩展即使被劫持,没有硬件按确认还是动不了钱。

7 · 社工:假客服 / 假项目方

损失体量:难以统计,但单笔最大记录 ~$3.4 亿(2024-09,某机构客户被电话社工)。

机制

Telegram / Discord / 推特 DM 假冒钱包客服、交易所客服、项目方运营。话术:「我们检测到你账户异常,需要验证助记词」「这边帮你解封,把助记词发给我」「视频会议演示一下你的余额」。

防御

• 任何「客服」、「项目方」、「KYC 复核」要求你发助记词 / 私钥的,100% 是钓鱼。OKX、Binance、MetaMask、Phantom 的官方客服永远不会、永远不应该向你索要这些。
• 所有客服联系一律自己主动从官方网站发起,不接受任何主动联系。
• 电话社工:陌生号码自称「项目方」「投资人」「监管机构」一律挂掉。

编辑组实测:3 起 2025 Q4 真实案例 tx hash 追踪

这三个案例你都可以自己用 Etherscan / Arbiscan / OKLink 输入相关地址验证。资金流向公开可查——攻击者最后通常通过 Tornado Cash / 跨链桥 / 混币 OTC 洗钱。链上分析公司(Chainalysis、TRM Labs)会持续追踪,部分资金最终被冻结或追回,但对受害者个人来说几乎都是不可逆损失。

防御 checklist · 可打印

---

FAQ · 5 个常问

本文引用源

1. SlowMist Hacked 事件库与年度报告 · slowmist.com
2. PeckShield 安全公告 · peckshield.com
3. EIP-2612 Permit 标准 · eips.ethereum.org/EIPS/eip-2612
4. revoke.cash 开源代码 · github.com/RevokeCash/revoke.cash
5. Chainalysis Crypto Crime Report · chainalysis.com/reports
6. Blockaid 钓鱼防御机制 · blockaid.io